Objetivos Generalidades del cómputo forense Metodología básica Herramientas actuales Caso Práctico: Secuestro de Fernando Martí

Transcripción

1 Introducción al Cómputo Forense Ing. Arturo García Hernández (MSc, CISM, DSE) Julio 2010 Agenda Objetivos Generalidades del cómputo forense Metodología básica Herramientas actuales Caso Práctico: Secuestro de Fernando Martí Retos y conclusiones 1

2 Objetivos Difundir la utilidad del análisis forense electrónico (cómputo forense) como herramienta indispensable para llevar a cabo reconstrucciones de hechos en un mundo tecnológico. Ejemplificar el uso de estas técnicas y de las herramientas actuales mediante un caso práctico. Generalidades En el mundo actual tenemos todo tipo de escenarios donde la computadora puede ser tanto herramienta para ejecutar alguna acción como víctima de algún delito. 2

3 Dudas comunes Quién modificó mi página web? Cómo me infecté de un virus informático? Por dónde entraron a mi red de computadoras? Quién me envió ese correo? Cómo puedo recuperar archivos borrados? Quién usó mi computadora? Qué programas fueron instalados en mi ausencia?... y muchas otras más! 3

4 Cómputo Forense En la actualidad, el cómputo forense es una herramienta que nos apoya a realizar la tarea de investigación en el mundo tecnológico en el que vivimos. Nos ayuda a encontrar algunas respuestas de las preguntas relativas a un ilícito: Quién? Qué? Cómo? Cuándo? Dónde? Definición El cómputo forense es el proceso de aplicación de técnicas científicas y analíticas a infraestructura de cómputo para identificar, preservar, analizar y presentar evidencia relevante a una situación en investigación (Kovacich). 4

5 Evidencia electrónica La evidencia electrónica es la parte medular del cómputo forense. Eliminarla no siempre es fácil, encontrarla tampoco. Los datos son como los fósiles: Puede faltar algún hueso del cuerpo, pero el fósil aún tiene mucho que revelar. Metodología Básica Identificar la evidencia. Dónde puede estar? Dentro de una computadora, en discos removibles, teléfonos móviles, proveedores de servicios, etc. Adquirir y preservar lo encontrado. Cómo extraerla sin modificarla? Se debe obtener evidencia: auténtica, correcta, completa, admisible e irrefutable. Analizar los hallazgos. Cómo completar el cuadro? Correlacionar los eventos entre ellos y de acuerdo al caso. Presentar los hechos Cómo describir lo encontrado? Basarse en hechos, no en interpretaciones. 5

6 El ambiente legal El cómputo forense per se no es reconocido en la legislación mexicana, pero sirve de apoyo para analizar todo tipo de delitos tipificados en la ley: Homicidio, Fraude, Amenazas, etc. Delitos informáticos (Código Penal Federal, Artículo 211) Plagio, Piratería, etc. (Ley Federal del Derecho de Autor) Protección de datos personales (Legislación federal) En México, instituciones como la PGR, la PGJ y la SSP cuentan con personal dedicado al cómputo forense. Policía Cibernética de la SSP. Caso Práctico: Vinculación tecnológica de El Apá con el caso Martí 6

7 Antecedentes Fernando Martí fue secuestrado el 4 de junio de El 12 de julio la entrega del rescate a los plagiarios había sido pactada. El cuerpo del joven fue hallado el 1 de agosto en la cajuela de un automóvil. El Servicio Médico Forense estima que murió a principios de julio. Días después se arraigan a los primeros vinculados con el asesinato presuntamente ligados con la banda de La Flor. El 21 de agosto del 2008 el empresario Alejandro Martí exige a las autoridades: Si no pueden, renuncien. Antecedentes El 8 de septiembre del 2008 detienen al presunto líder la banda: Sergio Humberto Ortiz Juárez (alias El Apá ). En julio de ese año, la SSP da a conocer que los responsables del secuestro pertenecen a la banda de Los Petriciolet. La PGJDF sostiene que El Apá sí está involucrado. El Apá muere el 12 de noviembre del 2009 víctima de un infarto al miocardio en un Centro Federal de Rehabilitación Psicosocial. Actualmente todavía no se identifica concretamente cuál banda delictiva fue la culpable. 7

8 18/07/2010 La vinculación tecnológica Durante un cateo, se encontró material en una computadora que se utilizó para fortalecer el vínculo de El Apá con el caso Martí: 1. Más de 3000 imágenes con contenido pornográfico, dos imágenes de Alejandro Martí, fotos de una persona secuestrada, etc. 2. Revisión del historial de internet donde visita ligas sobre secuestros y recuperación de correos electrónicos. 3. Uso constante de la PC (sin actividad el día del secuestro y elevado después de descubrir el cuerpo). Dada la complejidad técnica, la PGJDF solicitó el peritaje forense al FBI. 8

9 El cuerpo del delito Lo primero es lo primero. Y lo primero es obtener una copia fiel del cuerpo del delito. Las copias deben ser exactas (bit por bit) para mantener la integridad de los datos. Esta es una de las partes más importantes y sensibles del proceso forense pues todo es susceptible de modificarse: Si está apagado, no prenderlo. Si está prendido, no apagarlo. 9

10 Recuperación de archivos eliminados Los archivos no siempre son eliminados totalmente. La mayoría de las veces sólo se elimina el apuntador al archivo, más no el propio archivo. En este caso se utilizan herramientas que obtienen de nuevo el apuntador. Si el archivo fue borrado, se podrá utilizar el espacio liberado y se podrá sobreescribir nuevos datos. En este caso se debe reconstruir el archivo mediante señales conocidas de inicio o final, buscando bloque por bloque el siguiente tramo de información. Entre más se sobreescriba, más difícil será la recuperación. 10

11 Historial de Internet Todos los navegadores guardan un historial de las páginas visitadas a través de : Archivos temporales (caché), archivos de historial y cookies. Las cookies ayudan al navegador a identificar al usuario, personalizar su página de entrada y/o recolectar información de su visita. Adicionalmente se puede: Conocer qué y cuándo se visitó una página Saber si el usuario escribió la dirección o lo redirigieron. Reconstruir la página visitada. 11

12 Uso de la PC Generalmente las computadoras guardan registros de su actividad, por ejemplo: quién y cuándo accedió un usuario? qué archivos modificó/eliminó/consultó? qué programa instaló (o desinstaló)? Por ejemplo, en el ambiente Windows, algunos datos se pueden consultar en el Registry y otros en el visor de eventos. El administrador del sistema debe decidir qué, cuáles y por cuánto tiempo se guardan esos registros. Es un balance entre desempeño y registro en bitácoras. 12

13 Correo Electrónico El correo electrónico puede enviarse o recibirse por dos maneras: Cliente en la PC (pe. Outlook) Cliente en Internet (pe. Hotmail) La clave para determinar el origen está en los encabezados. Desafortunadamente no siempre están completos. Algunos clientes eliminan parte de los encabezados. También existen servicios en internet para el envío de correos anónimos (pe. 13

14 Retos y Conclusiones El cómputo forense se ha convertido en una herramienta indispensable en la reconstrucción de hechos (físicos o lógicos). Se requiere de mayor capacitación y profesionalización del personal que realiza el servicio forense. Un mal servicio es peor que no tenerlo. Es muy importante la participación de los proveedores de servicios (pe. ISP de Internet, Telefónicas, etc.) y administradores. Potencialmente todo puede estar escrito. Referencias Guías y certificaciones del SANS Material: NIST SP ( Otros: Algunas aplicaciones: Libres: Sleuth, PC Inspector File Recovery, The Cornoner s Toolkit. Comerciales: EnCase, FTK, Easy Recovery Professional, File Scavenger. 14

15 Gracias. Arturo García Hernández 15